Google anuncia: Project Shield: Un servicio gratuito anti DDoS

Hace menos de una semana Google hizo tres anuncios relacionados con seguridad; entre el Gsickminds y las prácticas de clase aún no he tenido tiempo de sentarme y hacer algo decente de toda esta jugosa información. Como siempre, Google se aparece ante todos queriendo parecer un santo y ofreciendo servicios gratuitos con su ya característica genialidad a la hora de crear interfaces bonitas, simples y atractivas para la vista. Pero desde este blog me pregunto ¿Es oro todo lo que reluce?

añeja y apropiada imagen para el artículo

Para ello vamos a comentar cada una de estas nuevas cositas intentando arrojar un poco de luz a sus pros y sus... ¿riesgos?

Project Shield

Esta es quizá uno de los servicios de Google más ambiciosos hasta la fecha, y, por supuesto, conlleva un gran precio a pagar a cambio de una grandísima ventaja. El precio no es económico, no, es un precio mucho más importante en la llamada 'Era de la Información' ya que en resumidas cuentas Project Shield sirve para filtrar todo el tráfico de tu servidor a través de Google haciendo que los ataques DDoS sólo sean efectivos si son capaces de tumbar Google -Cosa bastante improbable- ¿El precio? El riesgo de que Google sea un man-in-the-middle malvado y consiga acceso a la información y tráfico de tu servidor de manera inadvertida para posteriormente usarlo como moneda de cambio en el mercado de información. Es una posibilidad bastante real, así que cada uno tendrá que ver si le compensa o no.

descansa del ladrillo de texto con esta breve tira cómica

Entrando un poco más en detalle y en palabras de Google: 'Actualmente sólo invitamos a este proyecto a webs de noticias, derechos humanos y relacionadas con elecciones'. Añadiendo que se refiere, por ejemplo, a webs de partidos minoritarios silenciados en países menos desarrollados, para evitar corrupción y juego sucio; o a webs tipo Wikileaks -Defensores de la información libre-. Aquí me pregunto yo, no sin antes echar una sonrisilla ¿Sería capaz Wikileaks o cualquier web paranoica/defensora de la verdad capaz de fiarse de Google y darle todo su tráfico así por las buenas? Yo, al menos, no lo haría, mejor morir luchando contra un DDoS que entregarte en bandeja de plata al gobierno del país residente de Google (Porque sabemos que si quieren pueden intervenir sin que Google pueda hacer nada aunque quiera protegerte).

Antes de que este blog se convierta en ConspiraciónDeath voy a seguir comentando el resto de anuncios, aunque son menores y en parte relacionados para publicitar el grande que acabamos de ver.

Digital Attack Map

Esto es algo más bonito que útil pero igualmente es bastante aprovechable, Google ha estado recogiendo datos del -hasta hoy desconocido para mi- Arbor Network ATLAS el cual se actualiza cada hora y ofrece información sobre las amenazas de DDoS de más de 270 ISP que acceden a compartir información anónima de dichas amenazas.

Obviamente es imposible representar absolutamente todas las amenazas en un sólo mapa porque no se dispone de toda la información en tiempo real pero sirve para hacernos una idea de lo grandes que son los ataques que ocurren en un momento dado. 

Este mapa no ofrece información concreta del atacante o el atacado y por lo tanto tenemos que fiarnos de que la información es veraz y no simplemente un modo de generar alarma y que la gente se pase al Project Shield, obtener el tráfico de medio Internet y posteriormente dominar el mundo  ayudar a la humanidad gracias a Google®™, la mejor compañía de la historia de la humanidad. Por supuesto que desde este blog creado con Blooger®™ confiamos en Google POR SIEMPRE Y PARA SIEMPRE, AMÉN.

Por último comentar que las dos herramientas usadas para representar la geolocalización de la información son D3 y  topojson. (Ahí quedan sus Github para los más curiosetes)

uProxy

El último pero no menos importante nuevo servicio de Google, desarollado por la Universidad de Washington y Brave New Software es uProxy, antes de entrar en más detalle paremos un minuto para asombrarnos con el trabajo común del equipo de márketing y diseño gráfico de Google:

Una vez vista la publicidad creo que ya tenemos la idea básica del asunto, hacer que toda nuestra información viaje preferiblemente a través de lugares que confiamos, como amigos, lugares de trabajo, Google, familiares, etc- Espera un momento... ¿Google quiere el tráfico de nuestros servidores web y también desarolla una aplicación que dirige el tráfico de los clientes? Ah, nada sospechoso al respecto, sólo están salvando a la humanidad, deberíamos alegrarnos y ser agradecidos con San Google, patrón de la Información  y la Dominación Mundial.

La idea es enrutar tu información por canales seguros evitando que cualquier tercero malintencionado pueda leer nuestra información, asimismo ya por definición toda tu información queda encriptada por si por ejemplo quieres usar una red WiFi de la que no te puedes fiar, como si de una VPN se tratara. La diferencia es que uProxy no está localizada en un sitio concreto, sino que está "repartida" por tanto no es fácil bloquearla, además la integración con el navegador ofrece mucha transparencia al usuario, aspecto fundamental para masificar un producto que de otra manera el usuario medio se abstendría a probar (De nuevo VPN, proxy, etc, no veo a mi padre poniéndose a configurar una, la verdad).

Como los otros dos proyectos: La idea está cojonuda, hablando en plata, si la administrara un superordenador inteligente y hermético o un Ser Superior Divino que jamás se le ocurriría tener intereses ocultos que vayan en sentido contrario a los de las personas ajenas a la COMPAÑÍA. Google es una compañía y si quiere sobrevivir tiene que hacer lo que tiene que hacer: Acribillarnos a publicidad, mandarnos resolver sus captchas (Que no son captchas, son escaneos de libros y reconocimiento de texto en fotos de móviles, pero esta conspiración la dejo para la siguiente entrada) y filtrando nuestro tráfico de Internet por nuestro bien, para evitar a los tipos malos.

un eslogan sencillo para una compañía humilde

Todo está bien, repito, si nos pudieramos fiar de Google, yo, personalmente, aún no sé si podemos fiarnos o no, por lo tanto... Si tienes algo importante que cuidar: No te fíes. Si simplemente quieres que no te fusilen tu pequeño blog o negocio desde China a base de DDoS masivo indiscriminado a la empresa de hosting barateira que contrataste, entonces puedes correr el riesgo, compensará.

Esto es todo lo importante, tenéis los enlaces en los títulos de cada apartado por si queréis más información al respecto, voy a cerrar con una frase que leí en el 'About' de uProxy para que os podáis echar unas risas con los chistacos de Google, así también aligero la entrada:

Does uProxy anonymize a user's Internet connection?

uProxy is not designed to be an anonymizing service. Services like Tor provide a much stronger guarantee that a user's IP address is hidden from from the target site as well as intermediaries. uProxy does not provide such a guarantee.

Ja, ja, JA, JA JA JA JA JAJAJAJAJAJAJ NICE TRY NSA, NICE, FUCKING, TRY HAHAHAHAHAHAHAHAHAHA.

Qué sonora carcajada le ha salido a un servidor, ya sabéis niños, entrad a Tor y bajad pornografía infantil sin meter proxy y conectándoos a la WiFi de vuestra casa, probad probad, cuando llegue la citación de juzgado o unos amigos de gorra negra del CNP nos echamos unas risas a costa de Google. Much stronger, jajaja. Facepalm legendario.

Como me siento cuando creo que está todo "securizado" a tope y Nino viene a corregir

Autenticación en dos pasos

Hoy os traigo un artículo acerca del concepto de Autenticación de Factores Múltiples, la cual estará muy de moda pronto, ya que Apple ha empezado a usar algo similar en sus nuevos modelos aunque no con demasiado éxito.

¿Qué es la autenticación de dos factores? (También llamada Autenticación en dos pasos o Two-factor authentication)

Es un proceso de autenticación que implica la presencia de tres factores reconocidos para identificar al usuario:

• Algo que conoces - normalmente una contraseña o un PIN.
• Algo que posees - una tarjeta inteligente (con TCI) que contiene datos criptográficos, un SecurID de RSA o cualquier dispositivo similar utilizado en este tipo de autenticaciones
• Algo que sólo tú "eres" - huellas dactilares, el patrón de tu iris, el timbre de tu voz o similares. 

Este tipo de autenticación exige que cumplas dos de los tres factores antes listados antes de poder acceder al sistema o página web.

Así que incluso si alguien consigue tu contraseña (Algo que conoces) no podría entrar en tu cuenta a no ser que puedan obtener también alguno de los otros dos factores.

Si usáis Gmail, por ejemplo, seguro que os han medio-obligado o ofrecido insistentemente a agregar un número de teléfono o algún tipo de autenticación adicional a la contraseña añadiendo este tipo de seguridad de dos factores a vuestra cuenta. Lo mismo se ha hecho en otras redes sociales como Twitter, Facebook y para los colegas jugones: En Steam con SteamGuard o Blizzard con su Authenticator (Ejemplo de SecurID).

Otros ejemplos son los bancos que obligan a recibir un código vía SMS, introducir tu PIN, tu contraseña y 3 posiciones aleatorias de una ristra de 8-10 dígitos que se te mandó por carta. Y todo esto para realizar una transferencia bancaria de 1€... En mi opinión es matar una mosca a cañonazos pues si mañana pierdo mi tarjeta de crédito (El plástico) me pueden vaciar la cuenta con meter los numeritos y el CVC; y también hay que tener en cuenta que si mi operadora decide no darme servicio de SMS por un problema técnico, por ejemplo, no podría sacar ni mover dinero de mi propia cuenta de banco, un factor que ni yo ni el banco podemos controlar puede poner barreras e inconvenientes severos a esta "seguridad".

¿Aún con todo ello, debería usar este tipo de autenticación?

Yo creo que si es para un servicio estrictamente necesario (Cuando tu dinero está de por medio, por ejemplo) debería ser (y prácticamente es) obligatorio usarla pero para proteger tu cuenta de twitter y evitar que entre un hacker a publicar un twit de spam que no te va a afectar más que borrarlo y cambiar contraseña (Suponiendo que no seas cafre y uses la misma contraseña para todas tus cuentas de todos los servicios) pues tendrás que valorar por ejemplo, si los SMS van a estar disponibles 100% de las veces que necesites acceder a tu cuenta o si tener que usar tu correo electrónico cada vez que te autentiques te merece la pena.

Bien aplicada, la autenticación de dos factores incrementa tu seguridad muchísimo, blindando tus cuentas ante muchísimos problemas potenciales. Lamentablemente no está disponible siempre pero por lo general siempre que los pros superen a los cons recomiendo emplearla.


Fuente Sophos

Cómo proteger nuestros archivos de Dropbox de manera sencilla

Como bien sabemos todos, ya que cierto profesor cabroncete cuyo nombre rima con Nino lo usa como ejemplo en todas sus clases de teoría, Dropbox no es para nada seguro, es fácil colar un enlace que de acceso al perpetrador de nuestros archivos entre otros problemas varios.

¿Qué podemos hacer? Bueno, he leído un artículo en bitelia en el que se nos explica cómo cifrar nuestros archivos de Dropbox, Drive, y demás servicios de almacenamiento en la nube de manera que, aunque se consiga acceso a dichos archivos no sería posible usarlos sin deshacer el cifrado, el cual para nosotros no resulta un problema ya que son herramientas sencillas que prácticamente hacen todo el trabajo.

Los nombres de las herramientas en cuestión son: Boxcryptor, Cloudfogger, Viivo y Safemonk. Para saber las cualidades de cada una recomiendo que eches una ojeada al artículo en cuestión pinchando aquí.

Google conoce casi todas las contraseñas Wi-Fi del mundo

Hace unos cuantos días, me pasaron esta interesante a la par que inquietante noticia, aviso, si eres un paranoico de las teorías conspiratorias, no sigas leyendo esta noticia (por el bien de tu salud mental).

La nube, la dichosa nube, todas las comodidades de la nube... Un sinfín de empresas se encuentran en la nube, servicios de almacenamiento, vídeos  videojuegos, tiendas, servidores .... ¡Cientos de servicios en la nube, comodidad para el ciudadano! Desde luego Google no iba a ser menos en cuanto a prestar servicios en la nube, todos conocemos desde luego Gmail o su propio buscador, que entre sus funciones nos permiten guardar datos de nuestras búsquedas en la nube para ofrecernos resultados futuros más acordes a lo que nosotros deseamos encontrar por ejemplo; pero hoy no es ese el tema precisamente del que hablaremos, si no de las funcionalidades de los smartphones y tablets y demás dispositivos Android, para ser más exactos, de nuestros datos sincronizados en la nube.

Según ha revelado, Google podría conocer (en gran medida por nuestra culpa y nuestra falta de recelo a la hora de guardar nuestros datos sin saber que hacen con ellos o que consecuencias pueden traer) casi posiblemente todas las contraseñas wi-fi del mundo. Sí, parece chocante y lo es, y no es ninguna broma si nos paramos a pensar en ello, puesto que por nuestra vagancia, cuando nos conectamos a nuestra wifi en casa por ejemplo con nuestro teléfono, y marcamos que recuerde la clave, esa clave está almacenada en nuestro teléfono y según que versión de android utilicemos y que política de sincronización y backup de datos en la nube utilicemos, eses password quedan almacenados en los servidores de Google.

Desde la versión 2.2 de Android, todos los dispositivos tienen por defecto la política de almacenar las claves wi-fi. Como a todo el mundo le parece algo muy bueno y cómodo nadie se plantea mirar las opciones de configuración que controlan esta opción ya que hay docenas y docenas de parámetros de ajustes para configurar.

Y cualquiera que se ponga a ojear esos ajustes seguramente no entiendan las implicaciones de privacidad que esto implica.

Específicamente:

· En Android 2.3.4, si vas a "settings", "privacy", en un dispositivo HTC la opción que le da a Google tu contraseña Wi-Fi es "Back up my data". La única descripción dice "Back up current settings and application data". Sin mención a contraseñas Wi-Fi.

· En Android 4.2, en "settings" y luego a "Backup and reset", la opción se llama "Back up my data". y la descripción dice "Back up application data, Wi-Fi passwords, and other settings to Google servers".

No es necesario decir que ajustes y datos de aplicaciones son términos muy vagos. La explicación más concisa de esta funcionalidad en Android 2.3.4 se puede encontrar en la guía de usuario en la página 374 http://goo.gl/gtexrq :

"Check to back up some of your personal data to Google servers, with your Google Account. If you replace your phone, you can restore the data you’ve backed up, the first time you sign in with your Google Account. If you check this option, a wide variety of you personal data is backed up, including your Wi-Fi passwords, Browser bookmarks, a list of the applications you’ve installed, the words you’ve added to the dictionary used by the onscreen keyboard, and most of the settings that you configure with the Settings application. Some third-party applications may also take advantage of this feature, so you can restore your data if you reinstall an application. If you uncheck this option, you stop backing up your data to your account, and any existing backups are deleted from Google servers."

Y la explicación más larga para Android 4.0 puede ser encontrada en la página 97 de la guía de usuario del Nexus Galaxy (http://goo.gl/3vMk7Y) :

"If you check this option, a wide variety of your personal data is backed up automatically, including your Wi-Fi passwords, Browser bookmarks, a list of the apps you've installed from the Market app, the words you've added to the dictionary used by the onscreen keyboard, and most of your customized settings. Some third-party apps may also take advantage of this feature, so you can restore your data if you reinstall an app. If you uncheck this option, your data stops getting backed up, and any existing backups are deleted from Google servers."

Suenan genial, hacer una copia de seguridad de tus ajustes y datos hace que cambiar a un teléfono Android nuevo sea mucho más fácil. Le deja a Google configurar tu teléfono casi como el antiguo.

Lo que no se dice, es que Google puede leer las contraseñas Wi-Fi.

Y si estás leyendo esto y pensando sobre solo una red Wi-Fi, ten en cuenta que los dispositivos recuerdan las contraseñas de todas las redes en las que se han conectado, tal y como menciona TheRegister (http://goo.gl/sOr3NJ):

"La lista de redes Wi-Fi y contraseñas guardadas en nuestros dispositivos normalmente se extiende más allá de las casas de los usuarios, incluyen hoteles, tiendas, bibliotecas, casas de amigos, oficinas y todo tipo de otros lugares. Añadiendo esta información a la extensa base de datos del mapeado de puntos e acceso Wi-Fi hecha estos años por Google y otros, y de golpe, los fandroid se enfrentan a un grave riesgo contra su privacidad si estos datos son escrutinados por terceros."

La "buena" noticia es que los usuarios de Android, pueden simplemente desmarcar esta casilla.

Incluso si Google borra cada copa de tus copias de seguridad, puede que ya hayan compartido esa información con terceros y Google tendría aún una copia de esas contraseñas hasta que todos los dispositivos Android que se hubiesen conectado alguna vez a esa red desmarcasen esa opción de datos y ajustes.

La mala noticia es que, como cualquier compañía americana, Google puede ser requerido por el gobierno de los Estados Unidos a que les cedan sus datos privados de los usuarios.

Cuando se trata de redes Wi-Fi, la NSA, la CIA y el FBI no necesitan ser hackers o criptógrafos. No necesitan exploits WPS o UPnP, si un dispositivo Android está ofreciendo esos secretos, la encriptación WPA2 y contraseñas aleatorias largas no ofrecen ninguna protección.

No por ello ya le han llamado la atención a Google en varias ocasiones y se ha escrito sobre ello tinta y tinta.

- Donovan Colbert para TechRepublic escribió sobre que si google tiene acceso a las contraseñas de las redes privadas de su compañía simplemente porque un dispositivo Android se haya conectado en ella es inaceptable (http://goo.gl/7tXzfO)

- La universidad de Passau en Alemania advirtió a la comunidad universitaria que desactivasen la opción de copias de seguridad porque ceder contraseñas a terceros esta prohibido, advirdiendo que si ceden las contraseñas a cualquier otro, podrían utilizar los servicios universitarios utilizando sus identidades. (http://goo.gl/MXsWQN)

- Ben Weitzenkorn de TechNewsDaily avisando que la NSA podría tener acceso a las contraseñas Wi-Fi (http://goo.gl/EKNum7)

Y así muchos más artículos sobre el mismo problema.

Como veis, la privacidad en la red no es precisamente privada y nuestros datos pueden estar tan expuestos de maneras tan simples que probablemente nunca nos enteremos de cuanta información nuestra está por internet sin que lleguemos si quiera a darnos cuenta del peligro que ello puede suponer.

Mirar siempre la letra pequeña cuando se trate de vuestros datos, y más con lo que se guarda en vuestros móviles y equipos.

Creditos: Michael Horowitz - computerworld.com

Artículo original: http://blogs.computerworld.com/android/22806/google-knows-nearly-every-wi-fi-password-world